现在有无什么黑科技能绕过短信验证码？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3561 天前的主题，其中的信息可能已经有所发展或是发生改变。

RT。公司做了个注册推广的东西，过年期间被人一顿刷注册。

短信也是发出去了，号码也是正确的（号码基本不重复）。

验证码发送，有效期和验证频率都有限制（包括IP，前后端都有限制）。

仍旧挡不住啊。各位有无什么思路从哪方面来防范会比较好？

验证

限制

31 条回复 • 2015-02-26 11:24:55 +08:00

ihacku

2015-02-25 10:43:13 +08:00 via iPhone

搜下同盾

hadg

2015-02-25 10:47:00 +08:00

看看网站日志

feverbit

2015-02-25 10:49:46 +08:00

伪基站可以。
或者专门的刷注册的地下团伙，这些人是拥有大量真实手机号码的家伙，就是用人肉刷。

从我的经验来看，增加类似旋转图片的验证功能（facebook等用的把图片旋转到正确位置）可以比较好的防范。
据说短信上行，也是不错的方案

yhmni

2015-02-25 10:50:06 +08:00

@hadg 蛮正常的，而且那人注册频率也不定有时隔个1，2分钟，有时20多分钟。

sholmesian

2015-02-25 10:55:52 +08:00 via iPhone

http://holmesian.org/GSM-SMS-Sniffing
GSM SMS Sniffing 成本低廉技术成熟到人多的地方效果显著

yhmni

2015-02-25 10:55:59 +08:00

@feverbit 伪基站不是仿冒运营商发短信的么？它也能虚拟出电话号码然后接收短信？

sholmesian

2015-02-25 11:05:22 +08:00 via iPhone

@yhmni 还有一种成本稍高的方案就是用临时号码参考类似"手机密号"这类APP

cevincheung

2015-02-25 11:07:15 +08:00

有验证码打码，也就会有手机号打码……分分钟的事

yhmni

2015-02-25 11:07:37 +08:00

@sholmesian 感谢，我去看看

sandideas

2015-02-25 11:08:29 +08:00 via Android

淘宝有卖代收验证码的。。

sholmesian

2015-02-25 11:08:39 +08:00 via iPhone

@yhmni 我又想到一种方案如果接收验证短信的很多是电信号码就有可能是不妨公布一下大概号码段和归属地分布

yhmni

2015-02-25 11:11:27 +08:00

@sholmesian 广西，广东浙江。。运营商都有

yhmni

2015-02-25 11:13:25 +08:00

@cevincheung
@sandideas

这个知道，我之前算了下淘宝或其他打码的成本。只是我觉得对方不会傻到赔本干这事儿吧。。。有这钱还不如直接买积分捏

RHFS

2015-02-25 11:15:38 +08:00

注册是送现金？
一般是送现金或者什么积分，才有人刷

yhmni

2015-02-25 11:16:34 +08:00

@RHFS 积分，必须啊。。不然刷了没意义。。我们也没必要防了

mgc

2015-02-25 11:17:26 +08:00

代收验证码量小的话成本3毛左右绕过也不奇怪

Reficul

2015-02-25 13:02:54 +08:00 via Android

@sholmesian
以前以为要一套设备，结果。。。。

好好玩的样子

youxiachai

2015-02-25 14:24:02 +08:00

我司也碰到了..基本从验证码这块无解..因为万能的淘宝..有这样的服务卖,而且有渠道的话极其廉价(之前听过一个朋友说,可以1毛1个)...而且,有时候,竞争对手也会用这招来预埋一些大招... 目前,我司的解决方案就是验证客户端的机器码... 如果是可疑机器码客户端注册的账号,一律不放奖励

mgc

2015-02-25 14:28:35 +08:00

@youxiachai 机器码也可破，但对于小白已经足够了

exceloo

2015-02-25 14:46:15 +08:00

手机验证码一毛一个啊，网上都有api。
换ip也有api，2块钱10w个，只要能有1/3的ip能用就可以了。

exceloo

2015-02-25 14:56:25 +08:00

最好的解决办法就是先搞活动，奖励在活动结束后统一发放，解释权归自己。
这样你在结束的时候，拉一下数据，看着可疑的就别给奖励了。

sdysj

2015-02-25 15:00:56 +08:00

涉及金钱的就别想了，人肉不可破。。。

ven

2015-02-25 16:47:48 +08:00

网上很多代收验证码的平台，例如爱码什么的。。。

tabris17

2015-02-25 16:50:29 +08:00

现在虚拟手机号不是随便可以搞到的么

fising

2015-02-25 17:09:03 +08:00 via iPhone

验证码核对失败，直接强制更换验证码。

YonionY

2015-02-25 18:01:28 +08:00

@sholmesian 不就是电信一卡双号吗

fgwww

2015-02-25 18:06:35 +08:00

接码平台很牛逼

lincanbin

2015-02-25 18:09:32 +08:00 via Android

行贿运营商，在运营商那里拦截

woyao

2015-02-25 19:18:08 +08:00

攻防需要有人看注册数据了，可以加一些方法来识别虚假注册。
完全堵死不可能，提高门槛和发现的惩罚机制。
PS：什么APP？能说一下吗？

invite

2015-02-26 09:40:52 +08:00

楼主，很明显，你需要的不只是收到验证码，你需要让用户回复一个你所制定的字符串完成注册。

sun1534

2015-02-26 11:24:55 +08:00

都是人工刷的图形验证码什么的能有什么作用
短信验证码是通过手机打码平台完成的也没办法防御

建议：加Ip验证次数限制，奖励分次发放，加邮箱验证
大意就是增加刷子的时间人工和人力成本